NIS2 wirksam umsetzen
Regulatorische Pflichten mit den Prozessen verbinden, die im Betrieb wirklich gebraucht werden.
- Gap Assessment
- ISMS
- Lieferkette
- Incident Response
- Nachweise
Unsere Leistungen
Cyber-Resilienz für regulierte und sicherheitskritische Organisationen.
SecPerform verbindet regulatorische Klarheit, technische Validierung und operative Reaktionsfähigkeit zu einem umsetzbaren Sicherheitsprogramm.
Wo stehen Sie gerade?
Welcher Ausgangspunkt passt zu Ihrer Situation?
Wählen Sie Ihre aktuelle Herausforderung. Sie erhalten einen klaren Einstieg, auch wenn der genaue Projektumfang noch offen ist.
Empfohlener Einstieg
Regulatorik & Resilienz
Pflichten, Risiken, Verantwortlichkeiten und Nachweise in eine belastbare Umsetzungsroadmap überführen.
Verwertbare Ergebnisse
Was Sie von SecPerform erhalten.
Konkrete Arbeits- und Entscheidungsgrundlagen für Management, IT, Security, Compliance und Audit.
- Management-Zusammenfassung
- Technische Bewertung
- Priorisierter Maßnahmenplan
- Klare Verantwortlichkeiten
- Prüffähige Nachweisstruktur
- Umsetzungsbegleitung
Fokussiertes Leistungsportfolio
Vier Kompetenzfelder. Ein gemeinsames Ziel: Cyber-Resilienz.
Jede Leistung adressiert ein konkretes Risiko und führt zu prüfbaren Ergebnissen.
01
Regulatorik & Resilienz
Pflichten in wirksame Sicherheitsmaßnahmen und belastbare Nachweise übersetzen.
01NIS2 Readiness & UmsetzungBetroffenheit, Lücken, Meldewege und Maßnahmen zu einem umsetzbaren Programm verbinden.
Wann diese Leistung sinnvoll ist
Wenn Sie Betroffenheit und Handlungsbedarf klären oder eine bestehende NIS2-Roadmap in den Betrieb überführen müssen.
Welches Risiko reduziert wird
- Klare Verantwortung von Geschäftsleitung, IT und Fachbereichen
- Priorisierte Maßnahmen statt einer weiteren Checkliste
- Belastbare Melde-, Risiko- und Lieferkettenprozesse
Das erhalten Sie
- Betroffenheits- und Scope-Dokumentation
- Gap-Analyse mit priorisierter Roadmap
- Melde- und Incident-Response-Paket
- Management- und Nachweisstruktur
Wie wir vorgehen
- 1Betroffenheit und Geltungsbereich klären
- 2Reifegrad, Risiken und Nachweise bewerten
- 3Maßnahmen nach Risiko und Umsetzbarkeit priorisieren
- 4Umsetzung und Wirksamkeitskontrollen verankern
Typischer Zeitrahmen4 Wochen bis 12 MonateGeeignet fürGeschäftsleitung, CISO, Compliance und Informationssicherheit
Passt diese Leistung zu Ihnen?
Leistung besprechen Wir klären Bedarf und sinnvollen Umfang.
02ISO 27001 & BSI IT-GrundschutzEin auditfähiges ISMS mit dem passenden Vorgehensmodell aufbauen oder verbessern.
Wann diese Leistung sinnvoll ist
Wenn Kunden, Auditoren oder der eigene Schutzbedarf ein strukturiertes und dauerhaft betreibbares ISMS verlangen.
Welches Risiko reduziert wird
- Ein gemeinsames System für Risiken, Kontrollen und Nachweise
- Klare Rollen und wiederholbare Sicherheitsprozesse
- Gezielte Vorbereitung auf Audit oder Zertifizierung
Das erhalten Sie
- ISMS-Zielbild, Scope und Governance
- Risikoregister und priorisierter Maßnahmenplan
- Grundschutz-Modellierung oder ISO-27001-Kontrollstruktur
- Audit- und Nachweispaket
Wie wir vorgehen
- 1Zielniveau und Vorgehensmodell festlegen
- 2Strukturen, Schutzbedarf und Risiken bewerten
- 3Kernprozesse und Kontrollen aufbauen
- 4Wirksamkeit prüfen und Audit vorbereiten
Typischer Zeitrahmen4 Wochen bis 12 MonateGeeignet fürGeschäftsleitung, CISO, Compliance und Informationssicherheit
Passt diese Leistung zu Ihnen?
Leistung besprechen Wir klären Bedarf und sinnvollen Umfang.
03TISAX & LieferkettensicherheitVDA-ISA- und Kundenanforderungen für eigene Standorte und Dienstleister prüfbar erfüllen.
Wann diese Leistung sinnvoll ist
Wenn ein TISAX-Assessment ansteht oder Sicherheitsanforderungen entlang der Lieferkette verbindlich werden.
Welches Risiko reduziert wird
- Klarer Assessment-Scope und belastbare Verantwortlichkeiten
- Wiederverwendbare Nachweise statt paralleler Dokumentwelten
- Risikobasierte Steuerung kritischer Dienstleister
Das erhalten Sie
- TISAX-Scoping und VDA-ISA-Gap-Analyse
- Maßnahmen- und Nachweisplan
- Lieferanten- und Drittparteienkontrollen
- Assessment- und Interviewvorbereitung
Wie wir vorgehen
- 1Assessment-Ziele und Abhängigkeiten erfassen
- 2Kontrollen und vorhandene Nachweise bewerten
- 3Lücken risikobasiert schließen
- 4Assessment und Nachsteuerung begleiten
Typischer Zeitrahmen4 Wochen bis 12 MonateGeeignet fürGeschäftsleitung, CISO, Compliance und Informationssicherheit
Passt diese Leistung zu Ihnen?
Leistung besprechen Wir klären Bedarf und sinnvollen Umfang.
04VS-NfD & GeheimschutzOrganisation, Technik und Dokumentation für den sicheren Umgang mit Verschlusssachen aufbauen.
Wann diese Leistung sinnvoll ist
Wenn Projekte eine VS-NfD-Verarbeitung oder prüffähige Geheimschutzmaßnahmen voraussetzen.
Welches Risiko reduziert wird
- Klare Verfahren für Zugriff, Ablage und Übermittlung
- Prüffähige organisatorische und technische Nachweise
- Weniger Projektrisiko in vertraulichen Umgebungen
Das erhalten Sie
- Schutz- und Umsetzungskonzept
- Verfahrensanweisungen und Unterweisungsunterlagen
- IT-Sicherheitskonzept und Nachweisstruktur
- Vorbereitung von Prüf- und Freigabeschritten
Wie wir vorgehen
- 1Prozesse, Systeme, Standorte und Rollen abgrenzen
- 2Lücken gegen relevante Vorgaben bewerten
- 3Schutzmaßnahmen umsetzen
- 4Nachweise und Betriebsprozesse etablieren
Typischer Zeitrahmen4 Wochen bis 12 MonateGeeignet fürGeschäftsleitung, CISO, Compliance und Informationssicherheit
Passt diese Leistung zu Ihnen?
Leistung besprechen Wir klären Bedarf und sinnvollen Umfang.
05Cyber-Risiko-CheckEin kompakter, standardisierter Einstieg für kleine und mittlere Unternehmen.
Wann diese Leistung sinnvoll ist
Wenn Sie ohne langes Vorprojekt wissen möchten, wo die wichtigsten Sicherheitslücken und nächsten Schritte liegen.
Welches Risiko reduziert wird
- Schneller Überblick über den Sicherheitsstatus
- Verständliche Prioritäten für Management und IT
- Konkrete Grundlage für Budgetentscheidungen
Das erhalten Sie
- Statusbericht nach DIN SPEC 27076
- Bewertung der relevanten Themenfelder
- Priorisierter Maßnahmenplan
- Empfehlung für das weitere Vorgehen
Wie wir vorgehen
- 1Scope und Ansprechpartner festlegen
- 2Strukturiertes Interview durchführen
- 3Ergebnisse und Risiken bewerten
- 4Maßnahmen gemeinsam priorisieren
Typischer Zeitrahmen4 Wochen bis 12 MonateGeeignet fürGeschäftsleitung, CISO, Compliance und Informationssicherheit
Passt diese Leistung zu Ihnen?
Leistung besprechen Wir klären Bedarf und sinnvollen Umfang.
02
Security Testing & Exposure
Angriffsflächen verstehen und kritische Schwachstellen gezielt schließen.
01Penetration TestingAnwendungen, Infrastruktur und Cloud-Umgebungen realistisch und kontrolliert prüfen.
Wann diese Leistung sinnvoll ist
Vor Releases, nach großen Änderungen oder wenn die reale Ausnutzbarkeit Ihrer wichtigsten Systeme geklärt werden muss.
Welches Risiko reduziert wird
- Priorisierung nach Ausnutzbarkeit und Geschäftsrisiko
- Konkrete Behebungsanleitungen für technische Teams
- Wirksamkeitsbestätigung durch einen Wiederholungstest
Das erhalten Sie
- Prüfkonzept mit Scope und Schutzregeln
- Management-Zusammenfassung und technischer Bericht
- Priorisierter Maßnahmenplan
- Optionaler Retest-Nachweis
Wie wir vorgehen
- 1Ziele, Scope und Freigaben abstimmen
- 2Angriffswege kontrolliert prüfen
- 3Ausnutzbarkeit und Angriffsketten validieren
- 4Behebung priorisieren und im Retest bestätigen
Typischer Zeitrahmen2 bis 10 WochenGeeignet fürIT-Leitung, CISO, Produkt- und Plattformteams
Passt diese Leistung zu Ihnen?
Leistung besprechen Wir klären Bedarf und sinnvollen Umfang.
02Vulnerability & Exposure ManagementSchwachstellen, externe Angriffsflächen und Fehlkonfigurationen dauerhaft risikobasiert steuern.
Wann diese Leistung sinnvoll ist
Wenn Findings aus Scannern, Audits und Cloud-Plattformen wachsen, aber Priorisierung und Behebung stocken.
Welches Risiko reduziert wird
- Kritische Exponierungen schneller erkennen
- Weniger Alarmrauschen durch fachlichen Kontext
- Messbare Verantwortlichkeiten und Behebungszeiten
Das erhalten Sie
- Inventar kritischer Assets und Angriffsflächen
- Risikobasiertes Priorisierungsmodell
- Remediation-Workflow mit Rollen und Fristen
- Kennzahlen und Management-Reporting
Wie wir vorgehen
- 1Assets, Datenquellen und Verantwortliche erfassen
- 2Exponierungen technisch und fachlich bewerten
- 3Behebungsprozesse und Ausnahmen definieren
- 4Fortschritt und Restrisiko kontinuierlich messen
Typischer Zeitrahmen2 bis 10 WochenGeeignet fürIT-Leitung, CISO, Produkt- und Plattformteams
Passt diese Leistung zu Ihnen?
Leistung besprechen Wir klären Bedarf und sinnvollen Umfang.
03
Detection & Incident Readiness
Relevante Angriffe erkennen und im Ernstfall kontrolliert handeln.
01SIEM & Detection EngineeringAus Protokolldaten belastbare Erkennung mit klarer Priorisierung und messbarer Qualität machen.
Wann diese Leistung sinnvoll ist
Wenn viele Logs und Alarme vorhanden sind, relevante Angriffe jedoch nicht zuverlässig erkannt und bearbeitet werden.
Welches Risiko reduziert wird
- Bessere Sichtbarkeit relevanter Angriffsmuster
- Weniger Fehlalarme durch Use-Case-Tuning
- Prüffähige Erkennungs- und Bearbeitungsprozesse
Das erhalten Sie
- Datenquellen- und Qualitätsanalyse
- Priorisierter Detection-Use-Case-Katalog
- Regel-, Triage- und Eskalationsdokumentation
- Abdeckungs- und Wirksamkeitskennzahlen
Wie wir vorgehen
- 1Bedrohungen und Geschäftsprozesse priorisieren
- 2Datenqualität und Abdeckung bewerten
- 3Use Cases entwickeln, testen und optimieren
- 4Triage, Regelpflege und Reporting verankern
Typischer Zeitrahmen4 bis 16 WochenGeeignet fürManagement, Security Operations und IT-Betrieb
Passt diese Leistung zu Ihnen?
Leistung besprechen Wir klären Bedarf und sinnvollen Umfang.
02Incident Response Readiness & KrisenübungenRollen, Entscheidungen und Wiederanlauf für Ransomware und andere kritische Vorfälle vorbereiten.
Wann diese Leistung sinnvoll ist
Wenn Reaktionspläne zwar existieren, aber Meldewege und Entscheidungen noch nicht realistisch erprobt wurden.
Welches Risiko reduziert wird
- Schnellere Eindämmung und belastbare Entscheidungen
- Geübte Eskalations- und Kommunikationswege
- Transparente Lücken vor einem echten Vorfall
Das erhalten Sie
- Incident-Response-Plan und Verantwortungsmatrix
- Playbooks für priorisierte Vorfallsarten
- Tabletop-Übung mit Management und Technik
- Auswertung und Verbesserungsplan
Wie wir vorgehen
- 1Kritische Szenarien und Abhängigkeiten auswählen
- 2Rollen und Entscheidungsrechte klären
- 3Ein realistisches Szenario durchspielen
- 4Erkenntnisse in Maßnahmen und Playbooks überführen
Typischer Zeitrahmen4 bis 16 WochenGeeignet fürManagement, Security Operations und IT-Betrieb
Passt diese Leistung zu Ihnen?
Leistung besprechen Wir klären Bedarf und sinnvollen Umfang.
04
Cloud & Identity Security
Cloud-Plattformen und privilegierte Zugriffe mit klaren Guardrails absichern.
01Cloud Security Architecture & HardeningCloud-Architekturen, Konfigurationen und Überwachung risikobasiert verbessern.
Wann diese Leistung sinnvoll ist
Bei Cloud-Migration, Plattformwachstum oder fehlenden Standards für Identitäten, Netzwerke, Logging und Konfigurationen.
Welches Risiko reduziert wird
- Weniger Fehlkonfigurationen und unkontrollierte Angriffsflächen
- Klare Sicherheitsstandards für Plattformteams
- Nachvollziehbare Kontrollen über Konten und Workloads
Das erhalten Sie
- Cloud-Security-Architekturreview
- Baseline-, Hardening- und Guardrail-Konzept
- Netzwerk-, Logging- und Monitoring-Zielbild
- Priorisierter Umsetzungsfahrplan
Wie wir vorgehen
- 1Cloud-Scope und kritische Workloads erfassen
- 2Architektur, Identitäten und Konfigurationen bewerten
- 3Baselines und Guardrails definieren
- 4Umsetzung und Wirksamkeit begleiten
Typischer Zeitrahmen4 bis 20 WochenGeeignet fürCloud-, IAM-, Plattform- und Infrastrukturteams
Passt diese Leistung zu Ihnen?
Leistung besprechen Wir klären Bedarf und sinnvollen Umfang.
02Identity & Privileged Access (IAM/PAM)Identitäten, Rollen und administrative Zugriffe transparent und kontrollierbar gestalten.
Wann diese Leistung sinnvoll ist
Wenn Zugriffsrechte schwer nachvollziehbar sind oder administrative Konten nicht konsequent kontrolliert werden.
Welches Risiko reduziert wird
- Weniger Risiko durch übermäßige und dauerhafte Rechte
- Prüffähige Genehmigungen und Rezertifizierung
- Kontrollierte Notfall- und Administrationszugriffe
Das erhalten Sie
- Berechtigungs- und Privilegienanalyse
- Zielrollen- und PAM-Konzept
- Joiner-Mover-Leaver- und Rezertifizierungsprozess
- Priorisierter Implementierungsfahrplan
Wie wir vorgehen
- 1Kritische Identitäten und Zugriffswege analysieren
- 2Zielbild und Kontrollanforderungen definieren
- 3Genehmigung und Rezertifizierung aufsetzen
- 4Technische Einführung und Betrieb begleiten
Typischer Zeitrahmen4 bis 20 WochenGeeignet fürCloud-, IAM-, Plattform- und Infrastrukturteams
Passt diese Leistung zu Ihnen?
Leistung besprechen Wir klären Bedarf und sinnvollen Umfang.
03PKI & Certificate Lifecycle ManagementDigitale Zertifikate und Schlüssel über ihren gesamten Lebenszyklus sicher und nachvollziehbar steuern.
Wann diese Leistung sinnvoll ist
Wenn Zertifikate dezentral verwaltet werden, Abläufe regelmäßig ausfallen oder Verantwortlichkeiten für Schlüssel und Zertifizierungsstellen fehlen.
Welches Risiko reduziert wird
- Weniger Ausfälle durch abgelaufene oder falsch eingesetzte Zertifikate
- Kontrollierte Schlüssel, Rollen und Freigabeprozesse
- Transparenter Zertifikatsbestand und prüffähige Abläufe
Das erhalten Sie
- PKI- und Zertifikatsinventar
- Zielarchitektur und Vertrauensmodell
- Certificate Policy und Betriebsprozesse
- Automatisierungs- und Migrationsfahrplan
Wie wir vorgehen
- 1Zertifikate, Schlüssel, Systeme und Verantwortliche erfassen
- 2Risiken und Vertrauensbeziehungen bewerten
- 3Zielarchitektur und Lebenszyklusprozesse definieren
- 4Automatisierung, Migration und Betrieb begleiten
Typischer Zeitrahmen4 bis 20 WochenGeeignet fürCloud-, IAM-, Plattform- und Infrastrukturteams
Passt diese Leistung zu Ihnen?
Leistung besprechen Wir klären Bedarf und sinnvollen Umfang.
Sinnvoll kombiniert
Cyber-Resilienz entsteht im Zusammenspiel.
Wir verbinden regulatorische Anforderungen, technische Prüfung und operative Prozesse zu einem priorisierten Programm.
Ransomware-Resilienz stärken
Angriffsfläche, Identitäten, Erkennung und Reaktion als zusammenhängenden Schutzpfad verbessern.
- Exposure Management
- Pentest
- IAM/PAM
- Detection
- Krisenübung
Cloud kontrolliert skalieren
Technische Guardrails, sichere Identitäten und aussagekräftige Überwachung früh verankern.
- Architecture Review
- Baselines
- IAM/PAM
- PKI
- Logging & Detection
Validierung aus der Praxis
Projektergebnisse aus regulierten Umgebungen.
Erfahrung mit VS-NfD, Geheimschutz, ISO 27001 und BSI IT-Grundschutz bildet die belastbare Basis unseres Angebots.
Referenzen ansehenHäufige Fragen
Was vor dem Projektstart wichtig ist.
Was kostet ein Security-Projekt?
Die Kosten hängen von Scope, Systemanzahl, Zielsetzung und Prüftiefe ab. Nach dem ersten Austausch erhalten Sie eine transparente Leistungsabgrenzung und ein konkretes Angebot.
Wie schnell kann ein Projekt starten?
Kompakte Assessments können häufig innerhalb weniger Wochen starten. Bei größeren Programmen stimmen wir Ressourcen und Zeitplan gemeinsam ab.
Welche internen Ressourcen werden benötigt?
In der Regel benötigen wir einen fachlichen Ansprechpartner, relevante Dokumentation und definierte technische Kontakte. Der genaue Aufwand wird vor Projektstart geklärt.
Kann vor dem Austausch eine NDA geschlossen werden?
Ja. Eine Vertraulichkeitsvereinbarung kann bereits vor dem ersten vertiefenden Austausch abgeschlossen werden.
Unterstützt SecPerform nur bei Analyse oder auch bei Umsetzung?
Beides. Analyse, Priorisierung, Roadmap und Umsetzung werden so verbunden, dass Maßnahmen nicht bei der Konzeptabgabe enden.
Können Ergebnisse für Management und Audit aufbereitet werden?
Ja. Ergebnisse werden technisch belastbar und zugleich so dokumentiert, dass Management, Compliance und Audit Risiken, Prioritäten und Nachweise nachvollziehen können.
Welche Leistung passt, wenn wir noch keinen klaren Scope haben?
Im ersten Austausch grenzen wir Ausgangslage, Risiken und Entscheidungsbedarf ein. Daraus entsteht ein sinnvoller Einstieg statt eines vorschnell festgelegten Standardpakets.
Arbeitet SecPerform in regulierten oder vertraulichen Umgebungen?
Ja. Leistungen und Zusammenarbeit können auf regulierte, behördliche und sicherheitskritische Kontexte ausgerichtet werden. Sensible Details behandeln wir vertraulich.
Nächster Schritt
Leistung besprechen Welche Security-Maßnahme bringt bei Ihnen den größten Effekt?
In 30 Minuten klären wir Ausgangslage, Handlungsdruck und sinnvolle nächste Schritte. Unverbindlich und auf Wunsch mit NDA.